Checklist de enumeración de servicios

Esta checklist controla cobertura. No decide qué comando corresponde a cada protocolo. Abre la página canónica del servicio y registra cada comprobación como complete, partial, blocked, not-applicable o not-tested. Blocked identifica la causa observada. Not-tested exige una razón y una tarea pendiente.

• IP, hostname, puerto y transporte están registrados.
• La posición de origen identifica VPN, pivot, proxy, interfaz y ruta.
• El resultado distingue TCP, UDP, TLS directo y upgrade mediante STARTTLS.
• La resolución DNS y SNI utilizados están anotados.
• Se ha conservado la versión de cada herramienta que sustenta una conclusión.
• Si el servicio aparece en varias posiciones, los resultados no se han sobrescrito.

Un puerto abierto confirma una respuesta al probe, no el protocolo. Un timeout tampoco demuestra ausencia.

• Un cliente o probe válido confirma el protocolo.
• El banner original está conservado cuando existe.
• Producto y versión anunciados se separan del nivel de parche inferido.
• Extensiones, dialectos, algoritmos o capacidades negociadas están registrados.
• El certificado conserva subject, SAN, issuer, fingerprint, vigencia y resultado de validación.
• Las diferencias por hostname, SNI, transporte o versión del protocolo se han probado cuando son plausibles.

La interacción manual cubre Ncat, OpenSSL, CRLF, TLS y protocolos binarios.

• Se ha distinguido acceso anonymous, guest, null session y autenticado.
• Cada resultado identifica el usuario, dominio, base de datos, tenant, community o channel efectivo.
• Los métodos de autenticación anunciados se separan de los que una identidad concreta puede completar.
• La prueba no ha colocado secretos en historial, argumentos, logs o capturas sin tratamiento.
• Los bloqueos de cuenta, límites de frecuencia, MFA y controles de origen están registrados cuando afectan al resultado.
• Un rechazo en este servicio no se ha convertido en una conclusión sobre otros servicios.

• Se han enumerado los recursos propios del protocolo: shares, exports, módulos, zonas, buzones, schemas, bases, namespaces u objetos.
• Visibilidad, lectura, creación, modificación, sobrescritura, borrado y ejecución se tratan como capacidades distintas.
• Los listados amplios se han precedido de una consulta acotada.
• Los objetos descargados o leídos tienen procedencia, ruta, tamaño y hash cuando corresponde.
• Cualquier prueba de escritura usa un nombre único, contenido conocido y procedimiento de retirada.
• El permiso observado se atribuye al recurso, identidad y posición comprobados.

• La configuración efectiva se ha obtenido con el comando del servicio cuando existe, no solo leyendo un archivo.
• Includes, defaults, vistas, bloques condicionales y políticas por usuario u origen están considerados.
• Los hostnames, usuarios, rutas, shares, certificados y cadenas de conexión nuevos han vuelto al inventario.
• Las relaciones con DNS, directorio, correo, sistema de archivos y otros hosts tienen evidencia propia.
• Un valor anunciado por el servicio no se ha tratado como configuración local confirmada.

• Cada herramienta automática responde una pregunta definida.
• Los flags se han comprobado contra --help y la versión instalada.
• Los scripts NSE se eligieron por capacidad, no por una categoría completa.
• Los argumentos, diccionarios, tiempos de espera, hilos y límites de la ejecución están registrados.
• Los resultados importantes se han repetido con el cliente o comando manual equivalente.
• Un fallo del analizador se ha separado de un timeout, rechazo, respuesta vacía o credencial inválida.
• Las discrepancias entre herramientas conservan ambos outputs y una hipótesis que las explique.

• Cada posible abuso declara su condición técnica y la evidencia que falta.
• Una versión o script no se ha convertido directamente en «vulnerable».
• La transición a explotación identifica identidad, privilegio, recurso, efecto y estado que puede cambiar.
• La prueba mínima capaz de demostrar impacto está definida antes de ejecutarla.
• Las acciones de fuerza bruta, relay, escritura, ejecución, power control o modificación se han separado de la enumeración inicial.

• Se han conservado códigos de error, estados de protocolo y stderr.
• Se han comparado TCP y UDP cuando el servicio usa ambos.
• Se han considerado firewall, ACL de origen, split DNS, MTU, pérdida, límites de frecuencia y tiempos de espera.
• La misma petición se ha repetido cambiando una sola variable.
• Se ha utilizado packet trace o captura cuando la herramienta y el cliente discrepan.
• Los resultados parciales no se han resumido como «no enumerado».

• Se conoce qué genera la prueba: conexión, consulta, autenticación, lectura, escritura, proceso o cambio de configuración.
• Los timestamps permiten correlacionar la actividad.
• El output original, el comando, la versión y la interpretación están enlazados.
• Las sesiones y procesos locales han terminado.
• Montajes, túneles, archivos, objetos y cambios remotos se han retirado.
• La retirada se ha verificado desde el mismo protocolo.
• La cobertura final distingue lo confirmado, lo bloqueado y lo pendiente.

Familia	Preguntas que no deben quedar implícitas
DNS	autoridad, recursión, zona, registros, AXFR, wildcard, vistas y servidor consultado
FTP/TFTP/Rsync	sesión, autenticación, listado, lectura, escritura, conexiones de datos y TLS
SMB/NFS	dialecto o versión, recursos, identidad, permisos efectivos, RPC y configuración
SMTP/IMAP/POP3	roles, TLS, capacidades, autenticación, destinatarios o buzones y cambio de estado
SNMP/IPMI	versión, credencial, vista o channel, objetos, escritura y plano de gestión
MySQL/MSSQL/Oracle	instancia, transporte, autenticación, contexto, catálogos, grants y acceso al host
SSH/RDP/WinRM/WMI	transporte, identidad del host, autenticación, autorización, token y canales auxiliares
R-services	protocolo, usuario local y remoto, resolución, archivo de confianza y origen

• Nmap: Service and Version Detection
• NIST SP 800-115